Suricata IDS

Local Rules

• cat /etc/suricata/rules/local.rules

alert icmp any any -> any any (msg:"ICMP Test"; sid:1000000002;)
alert tcp any any -> any any (flags: S; msg: "SYN packet"; sid:100000003;)

• https://suricata.readthedocs.io/en/suricata-6.0.0/rules/

Suricata starten

• Der Systemd Service ist leider verbuggt
• Stattdessen diesen Befehl verwenden
• suricata -D --af-packet -c /etc/suricata/suricata.yml

Suricata stoppen

• Suricata kann über einen UNIX Socket gesteuert werden
• Ein Python-Interface dafür bietet suricatasc
• suricatasc
• shutdown

check

• tail -f /var/log/suricata/fast.log